Ogni connessione TCP nasce con un tre vie: il client manda SYN ("voglio parlare"), il server risponde SYN-ACK ("ok, e anch'io"), il client chiude con ACK. Solo allora i dati scorrono. Il server, tra SYN-ACK e ACK, tiene una connessione mezza aperta in memoria.
Il SYN flood abusa proprio quell'attesa: l'attaccante manda migliaia di SYN con IP sorgente falsificato e non risponde mai all'ACK – la tabella delle connessioni mezze aperte si riempie, e il server smette di accettare connessioni legittime. È un DDoS di protocollo (L4), economico da lanciare.
Le difese classiche: i SYN cookies (il server non alloca stato finché l'ACK non torna – codifica tutto in un numero di sequenza calcolato), rate limiting sui SYN, e a monte le reti anycast che spalmano il volume. È il tipo di attacco volumetrico per cui un edge davanti conta più di ogni tuning del kernel.